ระบบอนุมัติสิทธิ์แบบเก่า (legacy approval) ของ Magic Eden ทำให้ NFT มูลค่า 5.7 ล้านดอลลาร์สหรัฐตกอยู่ในความเสี่ยงที่จะถูกโจมตี ก่อนที่ทีมนักวิจัยด้านความปลอดภัยฝ่ายขาว (whitehat) จะเข้ามาช่วยไว้ได้ทัน โดยสามารถกู้โทเคนออกมาได้ทั้งหมด 23,155 ชิ้น ก่อนที่ผู้ไม่หวังดีจะลงมือขโมยไป ใครก็ตามที่ถือ NFT อยู่บน Magic Eden หรือแพลตฟอร์มใดก็ตามที่ยังมีการอนุมัติสิทธิ์เก่าค้างอยู่ ควรให้ความสนใจกับเหตุการณ์ครั้งนี้ เพราะมันเฉียดฉิวกว่าที่คิด
เกิดอะไรขึ้น
ตามรายงานของ The Block สิทธิ์การอนุมัติแบบเก่าบน Magic Eden เปิดช่องให้ NFT มูลค่ารวม 5.7 ล้านดอลลาร์สหรัฐเสี่ยงถูกโจมตี ทีมนักวิจัยด้านความปลอดภัยฝ่ายขาวตรวจพบความเสี่ยงนี้และเคลื่อนย้ายโทเคนจำนวน 23,155 ชิ้นไปไว้ในที่ปลอดภัยได้ก่อนที่ผู้ไม่หวังดีจะใช้ช่องโหว่นี้ทำอันตราย รายงานดังกล่าวไม่ได้ระบุว่าคอลเลกชันใดได้รับผลกระทบ วันที่ตรวจพบช่องโหว่ หรือ Magic Eden ได้ออกแถลงการณ์ต่อสาธารณะหรือไม่ จากข้อมูลที่มีอยู่ในขณะนี้ยังไม่มีรายงานความเสียหายต่อเงินทุนของผู้ใช้ และดูเหมือนว่าการกู้คืนครั้งนี้เกิดขึ้นก่อนที่ผู้โจมตีจะลงมือ ตามรายงานฉบับเดียวกัน ส่วนรายละเอียดทางเทคนิคเพิ่มเติม เช่น โครงสร้างของการอนุมัติสิทธิ์แบบเก่านี้ ยังไม่มีการเปิดเผยต่อสาธารณะในขณะนี้
ที่มาของปัญหา
ช่องโหว่จากการอนุมัติสิทธิ์ (approval) เป็นความเสี่ยงที่เกิดขึ้นซ้ำๆ ในตลาดซื้อขาย NFT ทั่วไป เมื่อผู้ใช้อนุญาตให้สัญญาอัจฉริยะของตลาดซื้อขายสามารถโอนย้ายโทเคนได้ สิทธิ์นั้นอาจยังคงทำงานอยู่แม้ว่าการลงประกาศขายจะสิ้นสุดไปนานแล้ว ผู้โจมตีที่พบสิทธิ์การอนุมัติเก่าที่ถูกลืมเหล่านี้ บางครั้งสามารถโอนย้าย NFT ออกไปได้โดยไม่ต้องขอความยินยอมจากเจ้าของอีกครั้ง รูปแบบนี้เคยส่งผลกระทบต่อแพลตฟอร์มอื่นมาแล้วในอดีต ขณะที่ตลาดซื้อขายต่างๆ ทยอยอัปเกรดสัญญาอัจฉริยะของตนเองไปตามกาลเวลา กรณีของ Magic Eden ตามที่ The Block รายงาน ก็จัดอยู่ในความเสี่ยงประเภทเดียวกันนี้ ไม่ใช่ปัญหาใหม่แต่อย่างใด ทว่าขนาดของความเสียหายที่อาจเกิดขึ้น คือมูลค่า 5.7 ล้านดอลลาร์สหรัฐ แสดงให้เห็นว่าสิทธิ์การอนุมัติเก่าที่ไม่เคยถูกเพิกถอนสามารถสะสมมูลค่ามหาศาลได้เพียงใด
ทำไมเรื่องนี้ถึงสำคัญกับคุณ
สำหรับผู้ใช้งาน Magic Eden เหตุการณ์นี้เป็นเครื่องเตือนใจให้ตรวจสอบและเพิกถอนสิทธิ์การอนุมัติเก่าบนตลาดซื้อขายอย่างสม่ำเสมอ โดยเฉพาะกระเป๋าเงินที่ถือ NFT มูลค่าสูง สำหรับนักพัฒนา เรื่องนี้ตอกย้ำต้นทุนที่ยังคงมีอยู่ในการดูแลสิทธิ์การอนุมัติแบบเก่าของสัญญาอัจฉริยะ ขณะที่แพลตฟอร์มมีการพัฒนาต่อเนื่อง สำหรับตลาด NFT ในภาพรวม การเข้าช่วยเหลือของทีมฝ่ายขาวครั้งนี้ได้ผล แต่ก็ขึ้นอยู่กับว่ามีคนตรวจพบช่องโหว่ก่อนใครเป็นสำคัญ ตลาดซื้อขายต่างๆ อาจต้องเผชิญแรงกดดันให้ตรวจสอบระบบการอนุมัติเก่าเชิงรุกมากขึ้น แทนที่จะรอให้เกิดปัญหาก่อนแล้วค่อยแก้ไข ผู้ถือครองไม่ควรคิดว่าสิทธิ์การอนุมัติที่ให้ไปแล้วไม่มีอันตรายอีกต่อไป เพียงเพราะธุรกรรมนั้นเสร็จสิ้นไปแล้ว
คำถามใหญ่กว่านั้น
ยังมีสิทธิ์การอนุมัติที่ถูกลืมอีกกี่รายการ ในตลาดซื้อขายอีกกี่แห่ง ที่ยังไม่เคยถูกตรวจสอบเลย? แพลตฟอร์ม NFT ทุกแห่งที่เคยอัปเกรดสัญญาอัจฉริยะมาตลอดหลายปี มีแนวโน้มว่าจะยังมีสิทธิ์การอนุมัติเก่าที่ผู้ใช้ลืมเพิกถอนหลงเหลืออยู่ เหตุการณ์นี้จุดคำถามที่ใหญ่กว่าสำหรับวงการ นั่นคือการหมดอายุของสิทธิ์การอนุมัติควรจะกลายเป็นฟีเจอร์มาตรฐานที่ถูกออกแบบมาในตัวของตลาดซื้อขายหรือไม่ แทนที่จะเป็นสิ่งที่ผู้ใช้แต่ละคนต้องจดจำและจัดการด้วยตัวเองไปตลอดกาล
สิ่งที่ต้องจับตา
จนถึงขณะนี้ยังไม่มีไทม์ไลน์อย่างเป็นทางการหรือแถลงการณ์ติดตามผลจาก Magic Eden ที่เปิดเผยต่อสาธารณะ ควรจับตาดูว่าจะมีการเปิดเผยรายละเอียดเพิ่มเติมหรือไม่ว่าคอลเลกชันใดได้รับผลกระทบ หรือสิทธิ์การอนุมัติแบบเก่านี้ถูกนำมาใช้ตั้งแต่เมื่อใด นอกจากนี้อุตสาหกรรมอาจให้ความสนใจกับเครื่องมือดูแลสุขอนามัยของการอนุมัติสิทธิ์มากขึ้น เนื่องจากตลาดซื้อขายต่างๆ อาจต้องทบทวนวิธีจัดการสิทธิ์การอนุมัติเก่าของสัญญาอัจฉริยะหลังเกิดเหตุการณ์เช่นนี้
